This article aims to:

• Guide how to view and filter logs on Sophos Firewall.
• Guide reading and exporting reports for operation and reporting.
• Help administrators quickly detect issues and security threats.

Through this, help the system be monitored effectively and operate more securely.

View information about network traffic passing through the firewall and security threats.

The main dashboard types include:

User threat quotient (UTQ): ranks users based on security risk score

Traffic dashboard: classification by network traffic

Security dashboard: blocked activities and threats: malware, IPS, spam, attack sources

Executive report: summary information for managers: highlighted traffic & threats

1.2 – Application & Webs

View information about application and Internet usage on your network.

Application Risk Meter is the method by which the Firewall calculates a score based on the risk level and the number of accesses (hits) of each application.
The application risk index is determined based on the average score of all application traffic.

The setting groups that can be monitored in this section include:

• User app risks & usage: Statistics on the usage of applications and their corresponding risk levels.
• Cloud applications usage: Statistics on the usage of cloud applications.
• Blocked user apps: Instances where application access was blocked.
• Synchronized applications: Applications that are classified and synchronized from endpoints to the firewall.
• Web risks & usage: Web access activity within the network and related risks.
• Blocked web attempts: Instances where web access attempts were blocked.
• Search engine: Statistics of users’ search behavior.
• Web content: Matches from the content filtering system and related information.
• Web server usage: Traffic of Applications, Web, Internet, and FTP.
• Web server protection: Security status of Web Servers, including attacks and attack sources.
• User data transfer: User traffic.
• FTP usage: FTP activity.
• FTP protection: Malicious FTP activity.

Displays information about network usage and related threats

Các nhóm Setting có thể theo dõi trong phần này, bao gồm:

• Intrusion attacks: Attack attempts.
• Active threat response: Threat events and compromised machines detected by MDR (Managed Detection and Response) and Sophos X-Ops.
• Wireless: Access points and SSIDs being used.
• Security Heartbeat: The health status of endpoints within the network based on the connection between the endpoint and the Firewall.
• Zero-day protection: Advanced protection against new attacks.

View information about remote users (users connecting remotely) to your network system through IPsec VPN, SSL VPN, and Clientless Access.

The setting groups that can be monitored in this section include:

• VPN: Traffic generated by remote users through IPsec, L2TP, or PPTP.
• SSL VPN: Traffic generated by remote users through the SSL VPN Client.
• Clientless Access: Traffic generated by remote users through a web browser.

View information about email traffic in the network system.

The setting groups that can be monitored in this section include:

• Email Protection: Email traffic in the network system that contains viruses and spam.
• Email Usage: Email traffic within the network system.

View information about compliance with regulations/standards:

The standard groups that can be monitored in this section include:

• HIPAA: Security Report compliant with the HIPAA standard.
• GLBA: Security Report compliant with the GLBA standard.
• SOX: Security Report compliant with the SOX standard.
• FISMA: Security Report compliant with the FISMA standard.
• PCI: Security Report compliant with the PCI standard.
• NERC CIP v3: Security Report compliant with the NERC CIP v3 standard.
• CIPA: Security Report compliant with the CIPA standard.
• Events: Network events and their corresponding severity levels.

Tạo báo cáo bao gồm các tiêu chí được chỉ định.

The types of reports that can be created in this section include:

• Web Report: Search for web browsing activity or viruses. Can be filtered by user, domain, and other criteria.
• Mail Report: Search for Email traffic, Spam, and Viruses. Can be filtered by protocol, user, and other criteria.
• FTP Report: Search for FTP activity and viruses. Can be filtered by transfer type, user, file, or source IP.
• User Report: Statistics on usage levels such as high-risk applications, ineffective websites, and detected viruses. Can be filtered by username and source host.
• Web Server Report: Search for Web Server activity (time, user, URI) as well as Web Server protection events.

The Log Viewer displays system event logs and automatically updates in real time.

To access it, click Log Viewer in the top-right corner of the Sophos Firewall interface.

A new Log Viewer window will appear, and administrators can view logs in real time here.

Administrators can choose specific log types to monitor, such as:

• Admin
• Active Threat Response
• Application filter
• Authentication
• Email
• Firewall
• IPS
• Malware
• Security Heartbeat
• SSL/TLS inspection
• SD-WAN
• System
• VPN
• Web content policy
• Web filter
• Web server protection
• Zero-day protection

During system administration, administrators often need report files summarizing system usage and important threats.

Therefore, in this guide the Executive Report is selected to perform report exporting.

To export a scheduled report, select Show Report Settings.

Choose Report Scheduling, then click Add.

Enter the following information:

• Name: name of the report schedule
• Description: optional description
• To email address: email address receiving the report (multiple emails can be entered)
• Report type: select the type (for example: Report group)
• Report group: choose the appropriate report group (for example: Executive Report)
• Email frequency: choose Daily or Weekly and the time to send the report via email

After completing the information, click Save.

translate this post to english exactly: I – Tổng quan về Activate và Renew License Sophos Firewall Bài viết hướng dẫn cách activate và renew license Sophos Firewall thông qua Sophos Central. Sophos Central là nền tảng quản lý tập trung cho phép quản lý thiết bị, license và đồng bộ trạng thái license từ cloud về firewall. II – Hướng dẫn Activate License Sophos Firewall 1. Tạo tài khoản Sophos Central Nếu chưa có tài khoản Sophos Central, tham khảo: https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/ Đăng nhập Sophos Central bằng tài khoản Super Admin. 2. Claim thiết bị Sophos Firewall – Vào Account → Licensing Firewall licenses – Chọn Firewall licenses  – Chọn Claim firewall  – Nhập Serial Number thiết bị  Sau khi claim thành công, thiết bị sẽ hiển thị trong danh sách quản lý. 3. Apply License cho thiết bị – Chọn thiết bị → Apply subscriptions – Nhập License Key – Preview subscription → Apply license 4. Đồng bộ License về Firewall – Vào Sophos Firewall → Administrator → Device access – Nhấn Synchronize III – Lưu ý khi Renew License Sophos Firewall Đối với các lần gia hạn (renew) license trong tương lai, cần lưu ý – License Number: chỉ dùng để tracking và support, không dùng để activate. – License Key: bắt buộc để kích hoạt hoặc renew license. 1. Cơ chế đồng bộ license khi renew: Trong hầu hết các trường hợp, nếu Sophos Firewall đã được liên kết đúng Sophos Central account, license sau khi renew sẽ tự động đồng bộ xuống thiết bị mà không cần thao tác thủ công. Tuy nhiên, nếu license không tự đồng bộ và vẫn hiển thị trạng thái Expired, bạn có thể thực hiện các bước sau: Kiểm tra license trong Sophos Central hoặc Sophos Partner Portal để xác định License Key tương ứng Thực hiện apply License Key thủ công cho thiết bị Firewall (theo hướng dẫn ở Mục II.3) 2. Trường hợp không nhận được License Key: Nếu email gia hạn không chứa License Key, khuyến nghị: Kiểm tra lại thông tin license trong Sophos Portal Hoặc liên hệ Sophos Support / Partner để xác nhận chính xác License Key trước khi apply

I – Overview of Activate and Renew License Sophos Firewall

This article guides how to activate and renew a Sophos Firewall license through Sophos Central.
Sophos Central is a centralized management platform that allows management of devices, licenses, and synchronization of license status from the cloud to the firewall.

II – Guide to Activate Sophos Firewall License

1. Create a Sophos Central account

If you do not have a Sophos Central account yet, refer to:
https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

Log in to Sophos Central using a Super Admin account.

2. Claim the Sophos Firewall device

• Go to Account → Licensing Firewall licenses
• Select Firewall licenses
• Select Claim firewall
• Enter the device Serial Number

After a successful claim, the device will appear in the management list.

3. Apply License to the device

• Select the device → Apply subscriptions
• Enter the License Key
• Preview subscription → Apply license

4. Synchronize License to the Firewall

• Go to Sophos Firewall → Administrator → Device access
• Click Synchronize

III – Notes when Renewing Sophos Firewall License

For future license renewals, please note:

• License Number: only used for tracking and support, not used for activation.
• License Key: required to activate or renew the license.

1. License synchronization mechanism when renewing

In most cases, if the Sophos Firewall has been properly linked to the Sophos Central account, the license after renewal will automatically synchronize to the device without requiring manual action.

However, if the license does not automatically synchronize and still shows Expired status, you can perform the following steps:

Check the license in Sophos Central or Sophos Partner Portal to determine the corresponding License Key

Manually apply the License Key to the Firewall device (according to the instructions in Section II.3)

2. Case when the License Key is not received

If the renewal email does not contain the License Key, it is recommended to:

Check the license information again in the Sophos Portal

Or contact Sophos Support / Partner to confirm the correct License Key before applying it.

translate this post to english exactly:https://vacif.com/moi-nhat-2026-huong-dan-activate-renew-license-sophos-firewall/

Here is the exact English translation of the post from:
[MỚI NHẤT 2026] – HƯỚNG DẪN ACTIVATE & RENEW LICENSE SOPHOS FIREWALL

[LATEST 2026] – GUIDE TO ACTIVATE & RENEW SOPHOS FIREWALL LICENSE

I – Overview of Activate and Renew Sophos Firewall License

This article guides how to activate and renew the Sophos Firewall license through Sophos Central.

Sophos Central is a centralized management platform that allows managing devices, licenses, and synchronizing license status from the cloud to the firewall. 

II – Guide to Activate Sophos Firewall License

1. Create a Sophos Central account

If you do not yet have a Sophos Central account, refer to:
https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

Log in to Sophos Central using a Super Admin account.

2. Claim the Sophos Firewall device

• Go to Account → Licensing → Firewall licenses
• Select Firewall licenses
• Select Claim firewall
• Enter the device Serial Number

After claiming successfully, the device will appear in the management list.

3. Apply License to the device

• Select the device → Apply subscriptions
• Enter the License Key
• Preview subscription → Apply license

4. Synchronize License to the Firewall

• Go to Sophos Firewall → Administrator → Device access
• Click Synchronize

III – Notes when Renewing Sophos Firewall License

For future license renewals, please note:

• License Number: only used for tracking and support, not used for activation.
• License Key: required to activate or renew the license.

1. License synchronization mechanism when renewing

In most cases, if the Sophos Firewall has been correctly linked to the Sophos Central account, the license after renewal will automatically synchronize to the device without requiring manual operations.

However, if the license does not automatically synchronize and still shows the Expired status, you can perform the following steps:

• Check the license in Sophos Central or Sophos Partner Portal to determine the corresponding License Key
• Manually apply the License Key to the Firewall device (according to the instructions in Section II.3) 

2. Case when the License Key is not received

If the renewal email does not contain the License Key, it is recommended to:

• Check the license information again in the Sophos Portal
• Or contact Sophos Support / Partner to confirm the correct License Key before applying it. 

If you want, I can also help you rewrite this translation to sound more natural for a blog post in English (keeping the meaning but making it read like native technical documentation).

translate this post to english exactly: https://vacif.com/en/moi-nhat-2026-sophos-firewall-huong-dan-theo-doi-xuat-report-tu-sophos-firewall-v22/

Here is the exact English translation of the post from:
https://vacif.com/moi-nhat-2026-sophos-firewall-huong-dan-theo-doi-xuat-report-tu-sophos-firewall-v22/ (translated literally line‑by‑line where appropriate):

[Latest 2026] Sophos Firewall: Guide to Monitoring & Exporting Reports From Sophos Firewall V22

Table of Contents

• I – Overview of monitoring and exporting reports from Sophos Firewall V22
• II – Details on monitoring and exporting reports from Sophos Firewall V22
  • 1. Introduction to Report & Log features of Sophos Firewall
  • 1.1 – Dashboards
  • 1.2 – Application & Webs
  • 1.3 – Networks & Threat
  • 1.4 – VPN
  • 1.5 – Email
  • 1.6 – Compliance
  • 1.7 – Custom
  • 1.8 – Log Viewer
    2. How to export a Report on Sophos Firewall

I – Overview of Monitoring and Exporting Reports From Sophos Firewall V22

This article aims to:

• Guide how to view and filter logs on Sophos Firewall.
• Guide reading and exporting reports for operation and reporting.
• Help administrators quickly detect issues and security threats.

Through this, help the system be monitored effectively and operate more securely. 

II – Details on Monitoring and Exporting Reports From Sophos Firewall V22

1. Introduction to Report & Log Features of Sophos Firewall

1.1 – Dashboards

View information about network traffic passing through the firewall and security threats. The main dashboard types include:

• Traffic dashboard: classification by network traffic
• Security dashboard: blocked activities and threats: malware, IPS, spam, attack sources
• Executive report: summary information for managers: highlighted traffic & threats
• User threat quotient (UTQ): ranks users based on security risk score 

1.2 – Application & Webs

View information about application and Internet usage on your network.

Types of monitoring in this section include:

• User app risks & usage
• Cloud applications usage
• Blocked user apps
• Synchronized applications
• Web risks & usage
• Blocked web attempts
• Search engine statistics
• Web content details
• Web server usage
• Web server protection 

1.3 – Networks & Threat

View information about network usage and related threats, including:

• Intrusion attacks
• Active threat response (Threat events detected by MDR and Sophos X‑Ops)
• Wireless usage
• Security Heartbeat status
• Zero‑day protection details 

1.4 – VPN

View information about remote users connecting to your network through IPsec VPN, SSL VPN, and Clientless Access. 

1.5 – Email

View information about email traffic and protection against viruses/spam in the system. 

1.6 – Compliance

View information about compliance reports for standards such as HIPAA, GLBA, SOX, FISMA, PCI, NERC CIP v3, CIPA, and Event levels. 

1.7 – Custom

Create reports based on specified criteria, including:

• Web Report: search web activity or virus logs
• Mail Report: search email, spam and virus activity
• FTP Report: search FTP activity
• User Report: statistics on high‑risk application usage and website access
• Web Server Report: search web server activity (time, user, URI) and protection events 

1.8 – Log Viewer

The Log Viewer displays event logs and updates automatically in real‑time. Administrators can select specific log types to monitor (such as Admin, Firewall, IPS, Malware, VPN, Web filter, etc.). 

2. How to Export Reports on Sophos Firewall

During system administration, administrators need comprehensive report files reflecting system usage and key threats. Therefore, in this guide the Executive Report is selected to perform report exporting.

To export a scheduled report:

• Select Show Reports Settings
• Choose Report Scheduling, then click Add
• Enter the following information:
  • Name: Name of the report schedule
  • Description: (optional)
  • To email address: email address that receives the report (can enter multiple emails)
  • Report type: Choose type (e.g., Report group)
  • Report group: Choose suitable report group (e.g., Executive Report)
  • Email frequency: Choose Daily or Weekly and the time to send the report via email
• After entering complete information, click Save

When the schedule runs as configured, Sophos will email the report file to the specified email address according to the schedule. 

If you want this translation formatted more naturally for an English technical article or documentation, feel free to ask!

translate this entire post to english exactly: https://vacif.com/en/moi-nhat-2026-sophos-firewall-huong-dan-theo-doi-xuat-report-tu-sophos-firewall-v22/

Below is the direct English translation of the article from
VACIF:
“[Mới nhất 2026] Sophos Firewall: Hướng Dẫn Theo Dõi & Xuất Report Từ Sophos Firewall V22”.
The structure and wording are kept as close as possible to the original text. 

[Latest 2026] Sophos Firewall: Guide to Monitoring & Exporting Reports from Sophos Firewall V22

Table of Contents

• I – Overview of monitoring and exporting reports from Sophos Firewall V22
• II – Details of monitoring and exporting reports from Sophos Firewall V22

I – Overview of Monitoring and Exporting Reports from Sophos Firewall V22

This article aims to:

• Guide how to view and filter logs on Sophos Firewall.
• Guide how to read and export reports for operation and reporting purposes.
• Help administrators quickly detect incidents and security threats.

Through this, the system can be monitored effectively and operated more securely. 

II – Details of Monitoring and Exporting Reports from Sophos Firewall V22

1 – Introduction to the Report & Log features of Sophos Firewall

1.1 – Dashboards

The dashboard allows administrators to quickly monitor network traffic and security threats occurring on the system.

Some common dashboards include:

• Traffic dashboard – classifies traffic passing through the firewall.
• Security dashboard – statistics on blocked activities and threats such as malware, IPS attacks, spam, and attack sources.
• Executive report – summary reports for management including highlighted traffic and threats.
• User Threat Quotient (UTQ) – evaluates user risk scores based on their activities on the network.

1.2 – Applications & Webs

This section provides information about application usage and web access activities within the network.

Monitoring items include:

• User app risks & usage
• Cloud app risks & usage
• Blocked user apps
• Synchronized apps
• Web risks & usage
• Blocked web attempts
• Search engine statistics
• Web content details
• Web server usage
• Web server protection

1.3 – Networks & Threat

Displays information related to network usage and security threats, including:

• Intrusion attacks
• Active Threat Response (threat events detected by MDR and Sophos X-Ops)
• Wireless usage
• Security Heartbeat status
• Zero-day protection details

1.4 – VPN

Displays information about remote users connecting to the network through VPN, including:

• IPsec VPN
• SSL VPN
• Clientless Access

1.5 – Email

Provides information about email traffic and spam/virus protection within the system.

1.6 – Compliance

Displays compliance reports related to standards such as:

• HIPAA
• GLBA
• SOX
• FISMA
• PCI
• NERC CIP v3
• CIPA
• Event levels

1.7 – Custom

Administrators can create custom reports based on specific criteria, including:

• Web Report – search web activity or virus logs
• Mail Report – search email activity, spam, and viruses
• FTP Report – search FTP activity
• User Report – statistics of high-risk application usage and website access
• Web Server Report – search web server activity (time, user, URI) and protection events

1.8 – Log Viewer

The Log Viewer displays system event logs and automatically updates in real time.

Administrators can select specific log types to monitor, such as:

• Admin
• Firewall
• IPS
• Malware
• VPN
• Web filter
• And other log categories.

2 – How to Export Reports on Sophos Firewall

During system administration, administrators often need report files summarizing system usage and security threats.

Therefore, in this guide the Executive Report is used as an example to export reports.

To export a scheduled report:

1. Select Show Report Settings.
2. Choose Report Scheduling, then click Add.
3. Enter the following information:

• Name – name of the report schedule
• Description – optional description
• To email address – email address receiving the report (multiple emails can be entered)
• Report type – select the report type (for example: Report group)
• Report group – choose the appropriate report group (for example: Executive Report)
• Email frequency – choose Daily or Weekly and the time to send the report via email

4. After completing the information, click Save.

Once the schedule runs according to the configuration, Sophos will automatically send the report file to the configured email address. 

If you want, I can also help you:

• Rewrite this into natural English technical documentation, or
• Convert it into a polished blog article for international readers.

translate this to english accurately:Application risk meter là cách thức mà Firewall sẽ tính điểm dựa trên mức độ rủi ro và số lần truy cập (hits) của từng ứng dụng. Chỉ số rủi ro ứng dụng được xác định dựa trên điểm trung bình của toàn bộ lưu lượng ứng dụng

Translation (accurate):

Application Risk Meter is the method by which the Firewall calculates a score based on the risk level and the number of accesses (hits) of each application.
The application risk index is determined based on the average score of all application traffic.

translate this article sentence by sentence accurately without leaving out details, follow their structure and style: https://vacif.com/moi-nhat-2026-sophos-firewall-huong-dan-theo-doi-xuat-report-tu-sophos-firewall-v22/

Below is the accurate sentence-by-sentence English translation following the original structure and style of the article
from VACIF:
VACIF – “[Mới nhất 2026] Sophos Firewall: Hướng Dẫn Theo Dõi & Xuất Report Từ Sophos Firewall V22”. 

[Latest 2026] Sophos Firewall: Guide to Monitoring & Exporting Reports from Sophos Firewall V22

Table of Contents

• I – Overview of monitoring and exporting reports from Sophos Firewall V22
• II – Details of monitoring and exporting reports from Sophos Firewall V22

I – Overview of monitoring and exporting reports from Sophos Firewall V22

This article aims to:

• Guide how to view and filter logs on Sophos Firewall.
• Guide how to read and export reports for operational and reporting purposes.
• Help administrators quickly detect incidents and security threats.

Through that, the system can be monitored effectively and operate more securely. 

II – Details of monitoring and exporting reports from Sophos Firewall V22

1 – Introduction to the Report & Log features of Sophos Firewall

1.1 – Dashboards

Dashboards allow administrators to view information about network traffic passing through the firewall and security threats.

Some main dashboard types include:

• Traffic dashboard: classifies traffic based on network traffic.
• Security dashboard: statistics of blocked activities and threats such as malware, IPS attacks, spam, and attack sources.
• Executive report: summary information for management, including highlighted traffic and threats.
• User Threat Quotient (UTQ): ranks users based on their security risk score.

1.2 – Application & Webs

Displays information about application usage and Internet activity within the network.

Monitoring items in this section include:

• User app risks & usage
• Cloud app risks & usage
• Blocked user apps
• Synchronized apps
• Web risks & usage
• Blocked web attempts
• Search engine statistics
• Web content details
• Web server usage
• Web server protection

1.3 – Networks & Threat

Displays information about network usage and related threats, including:

• Intrusion attacks
• Active threat response (threat events detected by MDR and Sophos X-Ops)
• Wireless usage
• Security Heartbeat status
• Zero-day protection details

1.4 – VPN

Displays information about remote users connecting to the network via VPN, including:

• IPsec VPN
• SSL VPN
• Clientless access

1.5 – Email

Displays information about email traffic and virus/spam protection in the system.

1.6 – Compliance

Displays compliance reports related to standards such as:

• HIPAA
• GLBA
• SOX
• FISMA
• PCI
• NERC CIP v3
• CIPA
• Event levels

1.7 – Custom

Allows administrators to create reports based on specific criteria, including:

• Web Report: search web activity or virus logs
• Mail Report: search email, spam, and virus activity
• FTP Report: search FTP activity
• User Report: statistics of high-risk application usage and website access
• Web Server Report: search web server activity (time, user, URI) and protection events

1.8 – Log Viewer

The Log Viewer displays system event logs and automatically updates in real time.

Administrators can choose specific log types to monitor, such as:

• Admin
• Firewall
• IPS
• Malware
• VPN
• Web filter
• and other log types.

2 – How to export reports on Sophos Firewall

During system administration, administrators often need report files summarizing system usage and important threats.

Therefore, in this guide the Executive Report is selected to perform report exporting.

To export a scheduled report:

1. Select Show Report Settings.
2. Choose Report Scheduling, then click Add.
3. Enter the following information:

• Name: name of the report schedule
• Description: optional description
• To email address: email address receiving the report (multiple emails can be entered)
• Report type: select the type (for example: Report group)
• Report group: choose the appropriate report group (for example: Executive Report)
• Email frequency: choose Daily or Weekly and the time to send the report via email

4. After completing the information, click Save.

When the schedule runs according to the configuration, Sophos will automatically send the report file to the specified email address according to the schedule. 

1. Create a Sophos Central account

If you do not yet have a Sophos Central account, refer to:
https://thegioifirewall.com/sophos-central-huong-dan-tao-tai-khoan-sophos-central-trial/

Log in to Sophos Central using a Super Admin account.

Go to Account → Licensing → Firewall licenses

Select Firewall licenses

Select Claim firewall

Enter the device Serial Number

After claiming successfully, the device will appear in the management list.

Select the device → Apply subscriptions

Enter the License Key

Preview subscription → Apply license

For future license renewals, please note:

• License Number: only used for tracking and support, not used for activation.
• License Key: required to activate or renew the license.

1. License synchronization mechanism when renewing

In most cases, if the Sophos Firewall has been correctly linked to the Sophos Central account, the license after renewal will automatically synchronize to the device without requiring manual operations.

However, if the license does not automatically synchronize and still shows the Expired status, you can perform the following steps:

• Check the license in Sophos Central or Sophos Partner Portal to determine the corresponding License Key
• Manually apply the License Key to the Firewall device (according to the instructions in Section II.3)

2. Case when the License Key is not received

If the renewal email does not contain the License Key, it is recommended to:

• Check the license information again in the Sophos Portal
• Or contact Sophos Support / Partner to confirm the correct License Key before applying it.

If you want, I can also help you rewrite this translation to sound more natural for a blog post in English (keeping the meaning but making it read like native technical documentation).

Giới thiệu

Sophos Firewall phiên bản 21 đã bổ sung hỗ trợ cho Let’s Encrypt, một tổ chức chứng thực (CA) miễn phí và tự động được tạo ra bởi Internet Security Research Group. Mục tiêu của Let’s Encrypt là đơn giản hóa quá trình cấp và gia hạn chứng chỉ SSL/TLS, từ đó nâng cao bảo mật và tính riêng tư cho web.
Chứng chỉ Let’s Encrypt có hiệu lực trong 90 ngày và sẽ được firewall tự động gia hạn trước khi hết hạn. Điều này giúp quá trình quản lý chứng chỉ trở nên dễ dàng và ít rắc rối hơn.

Các trường hợp hỗ trợ

Sophos Firewall v21 hỗ trợ chứng chỉ Let’s Encrypt cho các giao diện như:

• WAF (Web Application Firewall)
• Email SMTP TLS
• Các trang đăng nhập hotspot
• Web admin console
• Cổng người dùng, captive portal, VPN portal, và SPX portal

Tuy nhiên, Let’s Encrypt không hỗ trợ cho các dịch vụ VPN từ xa, VPN site-to-site và Chromebook SSO.

Quy trình cấp chứng chỉ Let’s Encrypt

1. Đăng ký tài khoản: Quản trị viên sẽ nhấn vào nút “Register Account” để firewall gửi yêu cầu đăng ký tới máy chủ Acme của Let’s Encrypt.

2. Yêu cầu chứng chỉ: Firewall yêu cầu chứng chỉ cho tên miền hoặc nhiều tên miền được chỉ định.

3. Xác thực tên miền: Firewall tạo một máy chủ web ảo tạm thời và firewall rule, đồng thời cung cấp một tệp xác thực để chứng minh quyền sở hữu tên miền với Let’s Encrypt.

4. Cấp chứng chỉ: Sau khi xác thực thành công, Let’s Encrypt sẽ cấp chứng chỉ và firewall sẽ tự động lưu trữ và quản lý chứng chỉ này.

Tạo chứng chỉ Let’s Encrypt
Để tạo chứng chỉ Let’s Encrypt trong Sophos Firewall:

1. Điều hướng đến phần Certificates, chọn Let’s Encrypt. Nhấn vào Register account

2. Điều hướng đến phần Certificates, chọn Certificates. Nhấn vào Add.

3. Ở phần Action, chọn Request Let’s Encrypt certificate. Đặt tên và chọn domain mà bạn muốn bảo vệ. Ở phần Hosted address, chọn port WAN của firewall.

4. Firewall sẽ tự động tạo các cấu hình cần thiết và gửi yêu cầu tới Let’s Encrypt.

Sử dụng chứng chỉ Let’s Encrypt
Sau khi chứng chỉ được cấp:

• Quản trị viên có thể sử dụng chứng chỉ này để bảo mật các cổng như web admin console, user portal, captive portal, và các dịch vụ liên quan.
• Trình duyệt sẽ hiển thị kết nối bảo mật với biểu tượng ổ khóa khi sử dụng chứng chỉ hợp lệ từ Let’s Encrypt.

Kết luận
Việc tích hợp Let’s Encrypt với Sophos Firewall v21 giúp đơn giản hóa việc quản lý chứng chỉ và tăng cường bảo mật cho hệ thống. Hãy kiểm tra các video hướng dẫn khác và truy cập tài liệu hỗ trợ để tìm hiểu thêm chi tiết.

Hướng dẫn này sẽ cung cấp chi tiết cách cấu hình NAT Port và Port Forwarding trên tường lửa Fortinet, giúp quản lý truy cập từ bên ngoài vào các dịch vụ bên trong mạng nội bộ một cách an toàn và hiệu quả.

2. NỘI DUNG HƯỚNG DẪN.
3. NAT Port là gì?

NAT Port (Network Address Translation Port) là quá trình thay đổi địa chỉ IP nguồn hoặc đích của các gói tin khi chúng đi qua tường lửa, nhằm tạo lớp bảo mật cho mạng nội bộ.

2. Port Forwarding là gì?

Port Forwarding (chuyển tiếp cổng) là một kỹ thuật cấu hình mạng giúp chuyển tiếp lưu lượng mạng từ một địa chỉ IP và cổng công cộng đến một địa chỉ IP và cổng nội bộ cụ thể trong mạng. Đây là phương thức quan trọng để cho phép các thiết bị hoặc dịch vụ bên trong mạng nội bộ có thể truy cập từ Internet hoặc mạng bên ngoài thông qua tường lửa hoặc router….

3. Các bước cấu hình

Các bước cấu hình:

• Tạo Virtual IP để ánh xạ port giữa IP Local và IP WAN
• Tạo Policy và gán Virtual IP vào để cho phép truy cập từ bên ngoài
• Kiểm tra kết nối

Mô hình kết nối:

3. HƯỚNG DẪN CẤU HÌNH.
4. Tạo Virtual IP để ánh xạ port giữa IP nội bộ và IP WAN

Truy cập vào giao diện quản trị của firewall

Điều hướng đến mục Virtual IP, chọn Create New

VIP Type: Chọn “IPv4”

Name: Đặt tên cho quy tắc NAT (ví dụ: “NAT_4444”)

Comments: Thêm mô tả nếu cần (ví dụ: “Port forward NAT”)

Interface: Chọn giao diện mạng (ví dụ: “wan”)

External IP address/range: Nhập địa chỉ IP public (ví dụ: 103.30.154.218)

Map to IPv4 address/range: Nhập địa chỉ IP private (ví dụ: 10.0.0.200)

********

Trong phần “Port Forwarding“, chọn “Enable“.

Cấu hình các thông số Port Forwarding:

Protocol: Chọn giao thức (ví dụ: TCP)

External service port: Nhập port public (ví dụ: 4444), port này có thể giống hoặc khác port private.

Map to IPv4 port: Nhập port private (ví dụ: 443)

2. Tạo Policy và gán Virtual IP vào để cho phép truy cập từ bên ngoài

Đi đến mục Policy & Objects > IPv4 Policy.

Nhấp chuột vào Create New để tạo chính sách mới.

Điền các thông tin cần thiết:

• Name: Nhập tên cho chính sách.
• Incoming Interface: Chọn giao diện mạng ngoài (WAN).
• Outgoing Interface: Chọn giao diện mạng trong (LAN).
• Source: Chọn địa chỉ IP hoặc all.
• Destination: Chọn VIP mà bạn đã tạo ở bước trên.
• Service: Chọn dịch vụ hoặc port mà bạn muốn cho phép.
• Action: Chọn Accept.

Nhấn OK để lưu lại chính sách.

3. Kiểm tra kết nối.

Sử dụng công cụ kiểm tra port hoặc kết nối từ bên ngoài để xác nhận rằng NAT port và Port Forwarding đã hoạt động đúng.

Đảm bảo rằng thiết bị của bạn không còn kết nối với mạng nội bộ (LAN) mà Fortinet đang bảo vệ. Bạn có thể sử dụng dữ liệu di động hoặc một mạng Wi-Fi khác.

Nhập địa chỉ 183.80.156.218:4444 (IP WAN:Port) vào thanh địa chỉ của trình duyệt.

Nếu cấu hình chính xác, bạn sẽ truy cập được dịch vụ web trên máy chủ cục bộ từ địa chỉ public này.

Nếu không kết nối được, hãy kiểm tra lại các bước cấu hình, đảm bảo rằng không có lỗi về port hoặc IP mapping, và dịch vụ nội bộ đang hoạt động đúng cách.

Tường lửa mã nguồn mở có thể là một lựa chọn bảo mật mạng tiết kiệm chi phí nếu bạn có những người phù hợp để quản lý chúng. Theo hầu hết các giấy phép mã nguồn mở, bạn có thể sử dụng, chỉnh sửa và chia sẻ phần mềm đồng thời có quyền truy cập vào mã nguồn.

Với tính minh bạch này, bạn có thể hiểu rõ hơn về kiến trúc và hành vi của tường lửa. Tuy nhiên, điều này cũng có nghĩa là bạn cần có những người có kiến thức kỹ thuật để triển khai và quản lý tường lửa, đặc biệt là vì nhiều tường lửa mã nguồn mở thiếu các tính năng cao cấp mà tường lửa thương mại cung cấp.

Để xác định việc dựa vào hoặc tích hợp tường lửa mã nguồn mở có phù hợp với trường hợp sử dụng của bạn hay không, bạn nên hiểu rõ chúng là gì, các chức năng mà từng loại tường lửa cung cấp, và những thách thức đi kèm với chúng.

Các quy tắc phổ biến của tường lửa mã nguồn mở

Việc cài đặt tường lửa mã nguồn mở không tự động đảm bảo an ninh mạng. Một số thực tiễn tốt nhất để cấu hình tường lửa mã nguồn mở bao gồm:

• Chặn theo mặc định (Deny by default): Chặn tất cả lưu lượng truy cập đến và chuyển tiếp, chỉ cho phép lưu lượng đi ra ngoài.
• Cho phép các kết nối đã được thiết lập (Allow established connections): Cho phép các gói tin liên quan đến các phiên kết nối đang hoạt động được thông qua trong khi vẫn đảm bảo an ninh.
• Cho phép các dịch vụ thiết yếu (Allow essential services): Duy trì lưu lượng truy cập đến các ứng dụng và dịch vụ quan trọng.
• Triển khai bảo vệ quét cổng (Implement port scanning protection): Ngăn chặn các cuộc tấn công dò quét cổng để khai thác lỗ hổng bảo mật.
• Cho phép yêu cầu ping (Allow ping requests): Cho phép lưu lượng giúp quản lý và khắc phục sự cố mạng.
• Sử dụng VPN: Mã hóa lưu lượng truy cập để giảm thiểu rủi ro từ các cuộc tấn công mạng dựa trên mạng.
• Triển khai lọc web (Implement web filtering): Chặn truy cập vào các trang web liên quan đến phần mềm độc hại, lừa đảo và virus.

Tường lửa mã nguồn mở so với tường lửa thương mại.

Khi lựa chọn giải pháp tường lửa, bạn có thể phải xem xét ưu và nhược điểm của tường lửa mã nguồn mở so với tường lửa thương mại. Tường lửa mã nguồn mở cung cấp các lợi ích như tính minh bạch, linh hoạt và hiệu quả về chi phí, cho phép bạn tùy chỉnh các tính năng và thích ứng với nhu cầu bảo mật thay đổi. Mặt khác, nếu bạn muốn cách tiếp cận “ít can thiệp” hơn, thì tường lửa thương mại có thể thực tế hơn vì chúng thường cung cấp hỗ trợ mạnh mẽ, giao diện thân thiện với người dùng và nhiều tính năng tích hợp sẵn.

Ưu điểm của tường lửa mã nguồn mở

Tường lửa mã nguồn mở cung cấp một số lợi thế như:

• Hiệu quả về chi phí: Là giải pháp miễn phí, cho phép tổ chức phân bổ tài nguyên một cách hiệu quả.
• Tùy chỉnh: Linh hoạt cho các công ty có nhu cầu vận hành hoặc yêu cầu quy định đặc biệt.
• Minh bạch: Mã nguồn có sẵn để xác định lỗ hổng bảo mật và kiểm tra tính toàn vẹn.

Nhược điểm của tường lửa mã nguồn mở

Dù có những lợi ích, tường lửa mã nguồn mở cũng có những hạn chế. Bạn cần lưu ý rằng chúng đòi hỏi:

• Chuyên môn kỹ thuật: Cần có kiến thức về mạng và giao thức bảo mật để cài đặt và bảo trì.
• Chức năng hạn chế: Ít tính năng bảo mật nâng cao, hạn chế khả năng bảo vệ.
• Giao diện người dùng: Thiếu bảng điều khiển trung tâm để quản lý triển khai.
• Không có phát triển được tài trợ: Không có đội ngũ phát triển tài trợ để nâng cấp và cải thiện khả năng của tường lửa mã nguồn mở.

Tối ưu hóa các quy tắc

Khi môi trường của bạn mở rộng, số lượng tường lửa bạn triển khai cũng tăng theo. Bạn có thể có sự kết hợp giữa tường lửa mã nguồn mở và tường lửa thương mại, điều này khiến việc quản lý trở nên thách thức hơn. Bạn cần đảm bảo tối ưu hóa các tập quy tắc của mình để đảm bảo:

• Các quy tắc chặn lưu lượng được đặt ở đầu danh sách quy tắc.
• Các quy tắc cụ thể cấp quyền truy cập nằm gần đầu danh sách quy tắc.
• Các quy tắc có tần suất sử dụng cao được ưu tiên.
• Các quy tắc ít được sử dụng được loại bỏ khi cần thiết.

Liên tục giám sát và điều chỉnh.

Cho dù bạn đang thêm người dùng và ứng dụng mới hay gỡ bỏ chúng, bạn cần liên tục xem xét và điều chỉnh cấu hình tường lửa của mình. Như một phần của quy trình quản lý thay đổi, bạn nên:

• Hiểu lưu lượng dữ liệu trên mạng nội bộ của bạn.
• Xem xét khả năng kết nối với internet công cộng.
• Xác định các rủi ro mà các thay đổi có thể gây ra.
• Tài liệu hóa quy trình phân tích rủi ro và bất kỳ phê duyệt nào cần thiết.

Nguồn: https://www.tufin.com/blog/understanding-open-source-firewalls 

Firewall là gì?

Tường lửa là hệ thống bảo mật, giám sát và kiểm soát lưu lượng mạng đến và đi dựa trên các quy tắc bảo mật được xác định trước. Chúng hoạt động như một rào cản giữa mạng nội bộ(đáng tin cậy) và mạng bên ngoài(không đáng tin cậy), chẳng hạn như Internet. Để ngăn chặn truy cập trái phép và bảo vệ khỏi các mối đe dọa trên mạng. Nói một cách đơn giản là….

Hãy tưởng tượng máy tính của bạn đang tổ chức một bữa tiệc. Tường lửa của bạn là người bảo vệ trước cửa với danh sách khách mời nghiêm ngặt. “Gói? Xin vui lòng cho biết tên.” Nếu bạn có tên trong danh sách (lưu lượng truy cập được phê duyệt), bạn sẽ tham gia bữa tiệc. Nếu không, thì đó là “Xin lỗi, anh bạn, hãy mang bản thân spam của bạn đi nơi khác!”

Các loại Firewall.

Packet Filtering Firewall: Hoạt động ở lớp mạng, kiểm tra tiêu đề của từng gói để biết các quy tắc được xác định trước. Nó cho phép hoặc chặn lưu lượng truy cập dựa trên địa chỉ IP, cổng và giao thức. Nó hiệu quả nhưng thiếu kiểm tra sâu về nội dung gói.

Stateful Inspection Firewall: Giám sát trạng thái của các kết nối đang hoạt động và đưa ra quyết định dựa trên bối cảnh lưu lượng truy cập. Nó duy trì các bảng trạng thái để theo dõi các phiên đang diễn ra và chỉ cho phép các gói hợp pháp thuộc một kết nối đang hoạt động.

Proxy Firewall: Chức năng như một trung gian giữa người dùng cuối và tài nguyên họ truy cập. Nó chặn tất cả các yêu cầu và thực hiện kiểm tra gói kỹ lưỡng trước khi chuyển tiếp chúng, cung cấp mức độ bảo mật cao bằng cách che giấu mạng nội bộ khỏi các mối đe dọa bên ngoài.

Next-Generation Firewall (NGFW): Tích hợp các khả năng tường lửa truyền thống với các tính năng nâng cao như kiểm tra gói sâu, hệ thống ngăn chặn xâm nhập (IPS) và kiểm tra cấp ứng dụng. Nó có thể xác định và kiểm soát các ứng dụng cũng như bảo vệ khỏi các mối đe dọa tinh vi.

Unified Threat Management (UTM) Firewall: Kết hợp nhiều tính năng bảo mật, chẳng hạn như tường lửa, chống vi-rút, ngăn chặn xâm nhập và lọc nội dung vào một thiết bị duy nhất. Nó cung cấp một giải pháp bảo mật toàn diện để đơn giản hóa việc quản lý.

Cloud Firewall:  Được cung cấp dưới dạng dịch vụ, nó bảo vệ cơ sở hạ tầng và tài nguyên đám mây. Nó cung cấp khả năng mở rộng và tính linh hoạt, bảo vệ môi trường đám mây bằng cách kiểm tra và kiểm soát lưu lượng đến và đi từ các ứng dụng đám mây.

Hardware Firewall:  Một thiết bị vật lý được cài đặt ở chu vi của mạng để lọc lưu lượng truy cập vào hoặc ra khỏi mạng. Nó cung cấp khả năng bảo mật mạnh mẽ và chuyên dụng nhưng yêu cầu triển khai và bảo trì vật lý.

Software Firewall: Được cài đặt trên các thiết bị riêng lẻ để giám sát và kiểm soát lưu lượng đến và đi. Nó cung cấp khả năng bảo vệ cho thiết bị cụ thể được cài đặt, thường được sử dụng trong máy tính cá nhân và thiết bị di động.

Phần biệt Stateful vs Stateless Firewalls

Stateful Firewalls

Tường lửa theo dõi trạng thái của các kết nối đang hoạt động và đưa ra quyết định dựa trên bối cảnh lưu lượng truy cập. Hãy coi tường lửa có trạng thái như một nhân viên bảo vệ cảnh giác, người không chỉ kiểm tra ID của từng người vào tòa nhà mà còn theo dõi xem ai đang ở bên trong và các hoạt động hiện tại của họ. Người bảo vệ này đảm bảo rằng chỉ những người có lý do chính đáng để ở đó mới có thể vào hoặc vào lại.

Tracks Connections: Giám sát các phiên đang diễn ra, đảm bảo rằng các gói là một phần của các kết nối đã được thiết lập.

Security: Cung cấp khả năng bảo vệ nâng cao bằng cách hiểu rõ bối cảnh lưu lượng truy cập, ngăn chặn hiệu quả các cuộc tấn công phức tạp.

Performance: Nói chung là chậm hơn do chi phí duy trì bảng trạng thái.

Complexity: Cấu hình và quản lý phức tạp hơn, cung cấp khả năng kiểm soát lưu lượng tốt hơn.

Ideal For: Môi trường bảo mật cao, chẳng hạn như mạng công ty xử lý dữ liệu nhạy cảm.

Stateless Firewalls

Tường lửa lọc các gói chỉ dựa trên các quy tắc được xác định trước mà không theo dõi trạng thái kết nối. Hãy tưởng tượng một tường lửa không trạng thái như một người gác cửa đơn giản kiểm tra ID của từng người ở lối vào mà không có bất kỳ ký ức nào về người đã vào trước đó. Mỗi khách được đánh giá độc lập mà không xem xét các tương tác trước đó.

Security: Cung cấp khả năng bảo vệ cơ bản bằng cách lọc lưu lượng truy cập dựa trên tiêu chí tĩnh nhưng thiếu bối cảnh của các kết nối đang diễn ra.

Performance: Nói chung nhanh hơn do không có chi phí theo dõi trạng thái.

Complexity: Dễ dàng cấu hình và quản lý hơn nhưng cung cấp khả năng kiểm soát lưu lượng truy cập ít chi tiết hơn.

Ideal For: Môi trường nơi tốc độ là rất quan trọng và yêu cầu bảo mật là cơ bản.

Với SSL VPN Remote Access, bạn có thể cung cấp quyền truy cập vào tài nguyên mạng của từng máy chủ qua internet bằng cách sử dụng các đường hầm được mã hóa point-to-point. Chính sách truy cập từ xa sử dụng OpenVPN, một giải pháp SSL VPN đầy đủ tính năng. 

Bài viết này sẽ hướng dẫn bạn cách cài đặt SSL VPN client trên Ubuntu, kết nối VPN bằng ứng dụng OpenVPN.

2. Hướng dẫn cấu hình.
   1. Cấu hình SSL VPN (Remote Access).

Bạn có thể tham khảo các bước cấu hình SSL VPN qua link sau: https://thegioifirewall.com/sophos-xg-huong-dan-cau-hinh-ssl-vpn-client-to-site

2. Tải xuống tệp cấu hình SSL VPN.

Trên Ubuntu Destop, đăng nhập vào VPN portal bằng username đã tạo ở bước 1. Sử dụng IP WAN Sophos : Port 443 (443 là port mặc định của Sophos Firewall, người quản trị có thể đổi).

Chọn Download for Windows, MacOS, Linux.

Sau khi tải xuống bạn sẽ có file _ssl_vpn_config.ovpn

3. Cài đặt OPENVPN

Trước khi đi vào cài đặt chúng ta sẽ cập nhật các gói hệ thống lên bản mới bằng lệnh:

sudo apt update

sudo apt upgrade

Thực hiện cài đặt OpenVPN bằng 2 lệnh sau:

sudo apt install tzdata

sudo dpkg-reconfigure tzdata

Tại mục Geographic area: Chọn Asia

Sau đó chọn OK.

Tại mục Time zone: Chọn Ho Chi Minh City.

Sau đó chọn OK.

4. 4. Cài đặt, kết nối SSL VPN Client.

Lưu ý: Nếu bạn là người dùng bình thường thì cần chuyển sang user root để có toàn quyền cài đặt bằng lệnh “sudo su” và nhập mật khẩu cho user bình thường.

Di chuyển đến đến thư mục Downloads hoặc thư mục lưu tệp cấu hình ssl_vpn mà bạn vừa tải xuống.

Example: cd /home/phongntt/Downloads/ls

Bạn sẽ thấy tệp sslvpn-phong2-client-config.ovpn

Thực hiện kết nối SSL VPN bằng dòng lệnh sau:

openvpn –config sslvpn-phong2-client-config.ovpn

Nhập Username và Passwword đã tạo ở bước 1 (cấu hình SSL VPN)

Khi nhật ký hiển thị thông báo Initialization Sequence Completed, kết nối SSL VPN thành công.

Khi kết nối bạn nên để màn hình Terminal này hoạt động và mở tab Terminal khác để sử dụng.

Kiểm tra trên Ubuntu có thêm 1 ip Tun0 được gán trong dãy IP SSL đã cấu hình ở bước 1.

Kiểm tra tường lửa Sophos. Điều hướng tới Current Activities > Live User. 

Người dùng hiện đang kết nối là Phong2.

Để thoát kết nối SSL VPN. Trên tab Terminal đang kết nối kernel Ctrl + C. 

Quá trình thoát log cho thấy kết nối đã được ngắt kết nối thành công. 

Nếu bạn muốn kết nối lại, hãy sử dụng lệnh openvpn –config sslvpn-phong2-client-config.ovpn

1. Xác định IP và cổng.

Các địa chỉ IP và số cổng trong bản ghi tường lửa là những thứ đầu tiên bạn nên kiểm tra. Hãy xem địa chỉ IP như là “địa chỉ nhà” của một máy tính trên mạng, và số cổng là một “phòng” cụ thể trong ngôi nhà đó nơi diễn ra việc liên lạc. Bản ghi sẽ hiển thị địa chỉ IP nguồn (nơi xuất phát của lưu lượng) và địa chỉ IP đích (nơi lưu lượng đang đi đến), cùng với các số cổng được sử dụng.

2. Nhận biết phiên hành động.

Phần “hành động” của một bản ghi mô tả các hành động của tường lửa đối với lưu lượng mạng. Các hoạt động điển hình mà bạn có thể thấy là như sau:

Accept: Lưu lượng được phép đi qua.

Deny: Người gửi được thông báo và lưu lượng bị dừng lại.

Drop: Người gửi không được thông báo và lưu lượng bị chặn.

Close: Cả hai bên đồng ý kết thúc việc liên lạc.

Client-first: Khách hàng (người khởi đầu việc liên lạc) đã kết thúc nó.

Server-rst: Máy chủ, là người nhận của việc liên lạc, đã kết thúc nó.

Các bản ghi chứa thông tin khác nhau. Dưới đây là danh sách những gì bạn có thể mong đợi thấy khi xem xét một bản ghi.

date = Ngày

time = Thời gian

devname = Tên máy chủ

devid = ID thiết bị

eventtime = 1653131198230012501

tz = Múi giờ

logid = ID bản ghi

type = Loại bản ghi (traffic, utm, event, v.v.)

subtype = Loại phụ của bản ghi (Forward, vpn, webfilter, virus, ips, system, v.v.)

level = Mức độ bản ghi

srcip = Địa chỉ IP nguồn

srcname = Tên máy chủ nguồn

srcport = Cổng nguồn

srcintf = Tên cổng nguồn

srcintfrole = Vai trò của cổng nguồn

dstip = Địa chỉ IP đích

dstport = Cổng đích

dstintf = Tên cổng đích

dstintfrole = Vai trò của cổng đích

srccountry = Thông tin quốc gia của IP nguồn

dstcountry = Thông tin quốc gia của IP đích

action = Thông tin về hành động đã thực hiện (drop, deny, accept, v.v.)

service = Thông tin dịch vụ

transip = Thông tin NAT IP (đầu ra nội bộ của địa chỉ nguồn riêng)

transport = Thông tin NAT port

duration = Thời gian đã trôi qua

sentbyte = Kích thước gói tin đã gửi (byte)

rcvdbyte = Kích thước gói tin đã nhận (byte)

sentpkt = Số lượng gói tin đã gửi

rcvdpkt = Số lượng gói tin đã nhận

3. Sử dụng bộ lọc Nguồn và Đích.

Bạn có thể lọc các bản ghi theo địa chỉ IP nguồn và đích để đơn giản hóa công việc của mình. Điều này giúp bạn dễ dàng tìm thấy thông tin liên quan một cách nhanh chóng, đặc biệt là khi điều tra một sự cố cụ thể.

Để cung cấp cái nhìn tổng quan đơn giản về cách đọc các bản ghi tường lửa, tôi quyết định sử dụng mô-đun Phân tích Bản ghi Tường lửa của LetsDefend.io làm ví dụ.

Sau đây là một tệp để phân tích những gì đang xảy ra và các câu hỏi để thực hiện các bước đã đề cập ở trên.

Câu hỏi: Kẻ tấn công đã cố gắng truy cập vào bao nhiêu cổng khác nhau?

Trả lời: 12

Để trả lời câu hỏi này, tôi tập trung vào việc tìm tất cả các cổng “dstport’ khác nhau trong bản ghi mà hành động là “deny”.

Câu hỏi: Loại tấn công/hoạt động nào có thể đã được thực hiện theo các bản ghi trên?

A) Brute-Force Attack

B) Port-scan activity

C) TCP-SYN-Flood Attack

D) No suspicious activities detected

Trả lời: B) Port-scan activity

Bằng cách xem xét các bản ghi và thấy cách lưu lượng bị từ chối truy cập qua các cổng nhất định, rõ ràng là hoạt động có thể là quét cổng (port scan).

Câu hỏi: Kẻ tấn công đã phát hiện bao nhiêu cổng mở?

Trả lời: 3

action=allow will let you know what traffic has been allowed through the port)

Câu hỏi: Kẻ tấn công có nhận được phản hồi từ tường lửa thông báo rằng yêu cầu truy cập của nó đã bị chặn không?

Trả lời: Có

Trong tệp bản ghi, chúng ta có thể thấy rằng lưu lượng được hiển thị là “deny”. Nếu chúng ta tham khảo lại danh sách hành động, chúng ta có thể thấy rằng `deny` có nghĩa là người gửi sẽ được thông báo rằng lưu lượng đã bị dừng lại.

Tóm lại, lúc đầu, việc đọc các bản ghi tường lửa có thể có vẻ khó khăn, nhưng với hướng dẫn từng bước, nó trở nên dễ dàng hơn rất nhiều. Bắt đầu từ những điều cơ bản: xác minh chi tiết IP và cổng, hiểu hoạt động của tường lửa, và tinh chỉnh kết quả để tập trung vào dữ liệu liên quan. Với một chút kinh nghiệm, bạn sẽ nhận thấy rằng những bản ghi này rất quan trọng trong việc duy trì an ninh mạng của bạn và xử lý sự cố một cách nhanh chóng và hiệu quả.

Nguồn: https://s.net.vn/zAEk 

Firewall và antivirus là hai công cụ bảo mật thông tin quan trọng trong lĩnh vực công nghệ thông tin. Mặc dù cả hai đều có mục tiêu chung là bảo vệ hệ thống khỏi các mối đe dọa mạng, tuy nhiên, chúng có vai trò và phương pháp hoạt động khác nhau.

Mục lục :

I. Khái niệm về antivirus và thiết bị firewall

II. Sự khác biệt chính giữa firewall và antivirus

III. Kết hợp firewall và antivirus

Nội dung bài viết :

I. Khái niệm về antivirus và thiết bị firewall

1. Thiết bị firewall

Định nghĩa: Thiết bị Firewall là một phần cứng hoặc phần mềm được sử dụng để kiểm soát và quản lý lưu lượng mạng đi vào và ra khỏi một mạng nội bộ hoặc hệ thống máy tính. Nó hoạt động như một rào cản giữa mạng nội bộ và mạng bên ngoài, kiểm soát quyền truy cập và ngăn chặn các kết nối không mong muốn.

Vai trò: Thiết bị Firewall giúp bảo vệ hệ thống khỏi các cuộc tấn công từ xa và ngăn chặn các kết nối không mong muốn. Nó kiểm soát lưu lượng mạng dựa trên các quy tắc và chính sách được thiết lập, đảm bảo rằng chỉ có những kết nối được phép thông qua và các kết nối không hợp lệ bị từ chối.

2. Phầm mềm Antivirus

Định nghĩa: Phần mềm Antivirus là một ứng dụng chạy trên hệ điều hành máy tính và được thiết kế để phát hiện, ngăn chặn và loại bỏ các phần mềm độc hại khỏi hệ thống. Nó sử dụng các cơ chế quét và phân tích để xác định các đặc điểm của các mẫu virus, malware và phần mềm độc hại khác.

Vai trò: Antivirus giúp bảo vệ hệ thống bằng cách phát hiện và loại bỏ các phần mềm độc hại đã được biết đến. Nó quét các tệp tin, thư mục, ổ đĩa và bộ nhớ để tìm kiếm các mã độc và cung cấp biện pháp như cách ly, tiêu diệt hoặc xóa chúng.

II. Sự khác biệt chính giữa firewall và antivirus

Dưới đây là bản so sánh giữa thiết bị Firewall và phần mềm Antivirus dựa trên một số tiêu chí quan trọng:

Chức năng:

• Firewall: Kiểm soát và quản lý lưu lượng mạng đi vào và ra khỏi hệ thống, ngăn chặn các kết nối không mong muốn và xác định quyền truy cập từ bên ngoài.
• Antivirus: Phát hiện, ngăn chặn và loại bỏ các phần mềm độc hại khỏi hệ thống, bao gồm virus, malware và các phần mềm độc hại khác.

Phạm vi bảo vệ:

• Firewall: Bảo vệ mạng nội bộ và các hệ thống máy tính khỏi các cuộc tấn công từ xa và các kết nối không mong muốn.
• Antivirus: Bảo vệ các hệ thống máy tính và thiết bị khỏi phần mềm độc hại đã được biết đến và phát hiện.

Phương pháp hoạt động:

• Firewall: Dựa trên các quy tắc và chính sách để kiểm soát và quản lý lưu lượng mạng, sử dụng bộ lọc và bộ quy tắc để xác định các kết nối hợp lệ và không hợp lệ.
• Antivirus: Sử dụng các cơ chế quét, phân tích và so khớp để xác định các đặc điểm của các phần mềm độc hại, quét và giám sát các tệp tin, thư mục, ổ đĩa và bộ nhớ.

Loại mối đe dọa được đối phó:

• Firewall: Ngăn chặn các cuộc tấn công từ xa, bao gồm tấn công từ chối dịch vụ (DDoS), xâm nhập và các kết nối không mong muốn.
• Antivirus: Phát hiện và loại bỏ các phần mềm độc hại đã được biết đến, chẳng hạn như virus, trojan, ransomware và phần mềm gián điệp.

Độ phức tạp và quản lý:

• Firewall: Cần cài đặt và cấu hình thiết bị Firewall phù hợp với môi trường mạng và thiết lập các quy tắc và chính sách. Yêu cầu kiến thức chuyên môn và kỹ năng quản lý.
• Antivirus: Dễ dàng cài đặt và quản lý trên các hệ thống máy tính và thiết bị. Thường có giao diện người dùng thân thiện và cung cấp cập nhật tự động cho cơ sở dữ liệu phần mềm độc hại.

Phạm vi ứng dụng:

• Firewall: Sử dụng cho mạng nội bộ của tổ chức hoặc cá nhân, bao gồm cả mạng LAN và mạng Wi-Fi.
• Antivirus: Cài đặt và sử dụng trên các hệ thống máy tính cá nhân, máy tính xách tay và các thiết bị di động.

Hiệu suất và tài nguyên hệ thống:

• Firewall: Thiết bị Firewall có thể yêu cầu tài nguyên phần cứng và băng thông mạng để xử lý và kiểm soát lưu lượng mạng. Hiệu suất của Firewall có thể ảnh hưởng đến tốc độ truyền dữ liệu mạng.
• Antivirus: Phần mềm Antivirus thường hoạt động trong nền và tiêu thụ một phần nhỏ tài nguyên hệ thống. Tuy nhiên, quét toàn bộ hệ thống hoặc quét các tệp tin lớn có thể tốn thời gian và ảnh hưởng đến hiệu suất.

Khả năng phòng ngừa và phản ứng:

• Firewall: Thiết bị Firewall có khả năng ngăn chặn các kết nối không mong muốn và cuộc tấn công từ xa. Nó cũng có thể giám sát các hoạt động mạng để phát hiện và báo động về các mô hình tấn công.
• Antivirus: Phần mềm Antivirus có khả năng phát hiện và loại bỏ các phần mềm độc hại đã được biết đến, nhưng nó có thể có sự chậm trễ trong việc nhận diện các mẫu độc hại mới. Việc cập nhật định kỳ cơ sở dữ liệu phần mềm độc hại là quan trọng để duy trì khả năng phòng ngừa tốt hơn.

Tính linh hoạt và mở rộng:

• Firewall: Thiết bị Firewall có thể được mở rộng và cấu hình để phù hợp với môi trường mạng và nhu cầu bảo mật. Các tính năng bổ sung như VPN (Virtual Private Network) và quản lý lưu lượng mạng có thể được tích hợp vào Firewall.
• Antivirus: Phần mềm Antivirus có thể được cài đặt và quản lý trên nhiều hệ điều hành và thiết bị khác nhau, bao gồm máy tính cá nhân, máy tính xách tay, máy chủ, và các thiết bị di động.

Chi phí và giấy phép:

• Firewall: Thiết bị Firewall có thể đòi hỏi đầu tư ban đầu cao hơn và yêu cầu thiết bị phải mua license. Có thể có các phiên bản mã nguồn mở của Firewall, nhưng các giải pháp thương mại thường đi kèm với chi phí phần cứng và phần mềm.
• Antivirus: Phần mềm Antivirus có sẵn ở nhiều phiên bản, bao gồm cả miễn phí và trả phí. Phiên bản miễn phí thường có các tính năng cơ bản, trong khi phiên bản trả phí cung cấp các tính năng nâng cao và hỗ trợ kỹ thuật tốt hơn.

Tóm lại, Firewall và Antivirus đóng vai trò quan trọng trong việc bảo vệ hệ thống và dữ liệu. Firewall tập trung vào kiểm soát lưu lượng mạng và quản lý kết nối, trong khi Antivirus tập trung vào phát hiện và loại bỏ phần mềm độc hại. Sự kết hợp giữa cả hai công cụ là cần thiết để đảm bảo bảo mật toàn diện cho mạng và các hệ thống máy tính.

III. Kết hợp firewall và antivirus

1. Định nghĩa kết hợp firewall và antivirus

Firewall và các giải pháp antivirus giúp bảo vệ tổ chức khỏi các mối đe dọa mạng theo các cách khác nhau. Một chiến lược bảo mật hiệu quả kết hợp cả hai công nghệ này bằng cách sử dụng tường lửa tích hợp chống vi-rút để ngăn chặn hầu hết các mối đe dọa tại khu vực ranh giới mạng. Để kiểm soát chi tiết hơn ở mức thiết bị, giải pháp bảo mật endpoint tự động xử lý mã độc trên các thiết bị đó cung cấp khả năng phân tích sâu hơn về cách nhiễm mã độc xảy ra và hoạt động.Mình sẽ lấy ví dụ bên dưới.

2. Mô tả cụ thể sự tiện ích qua kết hợp firewall và endpoint của hãng Sophos

Tính năng Security Heartbeat là một tính năng đặc biệt mà Sophos cung cấp để tương tác giữa Sophos Firewall và Sophos Endpoint. Nó giúp cung cấp một cơ chế phòng thủ đáng tin cậy và tăng cường khả năng phản ứng của hệ thống bảo mật. Dưới đây là cách mà tính năng Security Heartbeat hoạt động:

• Tương tác liên tục: Sophos Firewall và Sophos Endpoint thiết lập một kết nối liên tục và bảo mật với nhau thông qua tính năng Security Heartbeat. Thông qua kết nối này, Firewall và Endpoint có thể trao đổi thông tin bảo mật, trạng thái và tình trạng hoạt động.
• Trạng thái bảo mật liên tục: Sophos Endpoint liên tục gửi thông tin về trạng thái bảo mật của nó đến Sophos Firewall thông qua kết nối Security Heartbeat. Thông tin này bao gồm trạng thái của Sophos Endpoint, trạng thái chống vi-rút và thông tin phát hiện mối đe dọa.
• Đáp ứng nhanh chóng: Nếu Sophos Endpoint phát hiện một mối đe dọa hoặc xác định rằng máy tính đang bị nhiễm malware, nó sẽ gửi thông báo ngay lập tức đến Sophos Firewall thông qua kết nối Security Heartbeat. Firewall sẽ nhận được thông báo và có thể thực hiện các biện pháp phòng ngừa như cô lập máy tính hoặc chặn lưu lượng mạng liên quan đến mối đe dọa.
• Cảnh báo và quản lý tập trung: Tính năng Security Heartbeat cho phép quản trị viên nhìn thấy trạng thái bảo mật tổng thể của cả hệ thống từ trung tâm quản lý. Nó cung cấp cảnh báo nhanh chóng về các sự cố bảo mật và cho phép quản trị viên thực hiện các biện pháp cần thiết để giải quyết mối đe dọa.

Tóm lại, tính năng Security Heartbeat giữa Sophos Firewall và Sophos Endpoint tạo ra một kết nối liên tục và tương tác, cho phép trao đổi thông tin bảo mật và đáp ứng nhanh chóng đối với các mối đe dọa. Điều này giúp tăng cường khả năng phòng thủ và bảo vệ của hệ thống bảo mật tổng thể.